Блог
-
DevOps
Ansible-репозиторий: Galaxy для hardening, собственные роли для бизнес-логики, порядок в layout
Ansible Galaxy набирает обороты как хаб переиспользуемых ролей. Показываем как мы делим репозиторий: роли из Galaxy для базового hardening, свои для бизнес-логики, плюс layout roles/group_vars/inventory.
-
Регуляторика
Приказ ФСТЭК №21 на практике: три аудита и самые частые замечания по техническим мерам защиты ПДн
Обобщаем опыт трёх аудитов по Приказу ФСТЭК №21: самые частые несоответствия - сегментация, аутентификация, уровень защищённости. Публикуем матрицу мер по УЗ.
-
Инфраструктура
All-flash СХД у финансового клиента: latency упала с 12 мс до 0.3 мс, а TCO за три года сопоставим с гибридным SAN
Внедряем первый all-flash массив у финансового клиента под 1С и SQL Server. Latency рухнула на два порядка. Считаем TCO за три года и сравниваем с гибридным SAN.
-
DevOps
Docker 1.11: containerd, runC и зачем они разобрали демон на части
Docker 1.11 перешёл на containerd и runC под стандарты OCI. Что это значит на практике: демон перезапускается, контейнеры остаются работать.
-
Данные и аналитика
ClickHouse выходит в open-source: Яндекс анонсирует колоночную OLAP-СУБД
Яндекс объявил об открытии ClickHouse - колоночной OLAP-СУБД для аналитики событий. Изучаем документацию: что это, чем отличается от привычных инструментов.
-
Информационная безопасность
certbot как официальный клиент Let's Encrypt: systemd-timer вместо cron, 60+ доменов за месяц
EFF выпускает certbot и официально убирает letsencrypt-auto. Мигрируем на certbot, переписываем пролонгацию на systemd-timer и закрываем 60+ клиентских доменов без единого ручного действия.
-
DevOps
Jenkins 2.0 вышел: переходим на Pipeline-as-Code и Jenkinsfile в каждом репозитории
Jenkins 2.0 официально вышел 20 апреля 2016. Переводим все проекты на Pipeline DSL с Jenkinsfile и shared libraries. Время настройки нового CI - с двух часов до пятнадцати минут.
-
Данные и аналитика
Kafka Streams как альтернатива Spark Streaming: потоковая обработка без отдельного кластера
Kafka Streams - встроенная библиотека потоковой обработки, анонсированная в 2016. Сравниваем с batch-ETL и Spark Streaming: когда хватает библиотеки без кластера.
-
Системное администрирование
Zabbix 3.0 LTS: мигрируем с 2.4 и включаем шифрование агентов через TLS
Обновляем Zabbix 2.4 до 3.0 LTS: встроенное TLS-шифрование трафика между агентами и сервером закрывает давнюю дыру. Разбираем миграцию шаблонов и конфигурацию PSK.
-
Регуляторика
Локализация ПДн на практике: три миграции после первых штрафов по 242-ФЗ
После первых прецедентов штрафов за нарушение 242-ФЗ помогаем трём клиентам перенести базы ПДн в российские ЦОД: аудит потоков, shadow-копии в облаках, план миграции.
-
Данные и аналитика
Мигрируем DWH с MS SQL Server 2008 на PostgreSQL 9.5: fdw_postgres и UPSERT как инструменты поэтапного перехода
Госклиент, требование импортозамещения СУБД, MS SQL Server 2008 на конце жизни. Делимся матрицей совместимости T-SQL/PL-pgSQL и опытом fdw_postgres для поэтапной миграции.
-
DevOps
Docker Compose v2: именованные сети, volumes и первый взгляд на Swarm
Перевели staging на Compose v2 формат: именованные сети и volumes в одном файле вместо links и магических соглашений. Тестируем деплой через Docker Swarm.
-
Регуляторика
Astra Linux SE у заказчика с гостайной: PAM, SELinux-профили и SSSD на практике
Astra Linux Special Edition в реестре и рекомендована для гостайны. Первый пилот у реального заказчика: установка, PAM, SELinux-профили, интеграция с AD через SSSD - честно о совместимости.
-
Инфраструктура
HTTP/2 на боевом nginx: включаем на клиентских серверах и замеряем эффект
Включаем HTTP/2 на боевых nginx-серверах клиентов после тестирования. На страницах со множеством ресурсов latency падает на 30-40%. Нюансы: TLS обязателен, SNI, без keep-alive хаков.
-
Информационная безопасность
Badlock и Let's Encrypt GA в один день: обновляем Samba и Windows одновременно
12 апреля 2016 вышли патчи Badlock (CVE-2016-2118) для Samba и Windows. В тот же день - GA Let's Encrypt. Рассказываем, как справляться с двойным патч-днём без паники.
-
Информационная безопасность
Let's Encrypt GA: выпускаем продакшн-сертификаты для 15 доменов и считаем экономию
12 апреля Let's Encrypt перешёл в General Availability. Раскатываем Ansible-роль на первые 15 клиентских доменов и сравниваем с тем, что платили за Comodo.
-
Информационная безопасность
Накануне GA Let's Encrypt: пишем Ansible-роль для certbot и готовим 40+ клиентских сервисов
Let's Encrypt объявил о переходе в General Availability в апреле. Пишем Ansible-роль для certbot через cron, тестируем на staging, планируем покрыть клиентские сервисы к маю.
-
Инфраструктура
vSphere 6.0 Update 2: лечим vMotion после трёх месяцев тихого ужаса
VMware выпустила vSphere 6.0 Update 2. Применяем на кластере через Update Manager без downtime - и наконец-то закрываем проблему с vMotion при mixed-версиях хостов.
-
DevOps
Kubernetes 1.2: Ingress-контроллер и HPA вместо ручных правок nginx
Обновили кластер до k8s 1.2 и подняли nginx-ingress-controller. Теперь HTTP-роутинг - это ресурсы k8s, а не конфиг nginx на отдельной VM.
-
DevOps
Ansible Vault в Jenkins-пайплайне: зашифрованные секреты в git без паранойи
Ansible Vault 2.0 позволяет хранить секреты прямо в репозитории. Интегрируем vault-password с Jenkins через переменную среды - разработчики не видят prod-credentials, сборка работает.